Questo tutorial illustra il processo di deployment dei certificati utilizzando un certificato gestito da Google con DNS autorizzazione.
I seguenti bilanciatori del carico supportano i certificati gestiti da Google con DNS autorizzazione:
- Bilanciatore del carico delle applicazioni esterno globale
- Bilanciatore del carico delle applicazioni classico
- Bilanciatore del carico delle applicazioni interno tra regioni
- Bilanciatore del carico di rete proxy esterno globale
Per un confronto dei tipi di autorizzazione del dominio supportati, vedi Dominio autorizzazioni.
Se vuoi eseguire la migrazione di un certificato esistente a Gestore certificati, segui i passaggi descritti in Eseguire la migrazione dei certificati Gestore certificati.
Obiettivi
Questo tutorial mostra come completare le seguenti attività:
- Crea un certificato gestito da Google emesso da un certificato pubblicamente attendibile autorità di certificazione con autorizzazione DNS mediante Gestione certificati.
- Esegui il deployment del certificato su un bilanciatore del carico supportato utilizzando un protocollo HTTPS di destinazione proxy.
Per ulteriori informazioni sul processo di deployment dei certificati, consulta Panoramica.
Prima di iniziare
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Per eseguire il deployment è richiesta la versione della gcloud CLI
465.0.0
o successiva del certificato. Per controllare la versione di gcloud CLI, esegui il comando seguente comando:gcloud --version
Per aggiornare gcloud CLI, esegui questo comando.
gcloud components update
Assicurati di disporre dei seguenti ruoli per completare le attività in questo tutorial:
- Proprietario Certificate Manager: obbligatorio per creare e gestire Risorse di Gestione certificati.
- Amministratore bilanciatore del carico Compute o Amministratore rete Compute:obbligatorio per crea e gestisce il proxy di destinazione HTTPS.
- Amministratore DNS:è obbligatorio se vuoi utilizzare Cloud DNS come tuo soluzione DNS.
Per ulteriori informazioni, consulta le seguenti risorse:
- Ruoli e autorizzazioni per Gestore certificati
- Ruoli e autorizzazioni IAM di Compute Engine per Compute Engine
- Controllo dell'accesso con IAM per Cloud DNS
Crea un certificato gestito da Google con autorizzazione DNS
Completa i passaggi di questa sezione per creare un'autorizzazione DNS e un Certificato gestito da Google che fa riferimento a tale autorizzazione DNS.
Crea un'autorizzazione DNS
Crea l'autorizzazione DNS come descritto in questa sezione. Se stai creando un
Autorizzazione DNS per un certificato con caratteri jolly, come *.myorg.example.com
,
configurare l'autorizzazione DNS per il dominio principale, ad esempio
myorg.example.com
.
gcloud
gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \ --domain="DOMAIN_NAME" gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME
Per utilizzare l'autorizzazione DNS per progetto (anteprima), esegui questo comando:
gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \ --domain="DOMAIN_NAME" \ --type="PER_PROJECT_RECORD" gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME
Sostituisci quanto segue:
AUTHORIZATION_NAME
: il nome dell'autorizzazione DNS.DOMAIN_NAME
: il nome del dominio per cui sei creando questa autorizzazione DNS. Il nome di dominio deve essere un nome completo nome di dominio, ad esempiomyorg.example.com
.
Il comando restituisce un output simile al seguente. Utilizza il record CNAME dall'output aggiungi alla tua configurazione DNS.
createTime: '2022-01-14T13:35:00.258409106Z' dnsResourceRecord: data: 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. name: _acme-challenge.myorg.example.com. type: CNAME domain: myorg.example.com name: projects/myProject/locations/global/dnsAuthorizations/myAuthorization updateTime: '2022-01-14T13:35:01.571086137Z'
Terraform
Per creare un'autorizzazione DNS, puoi utilizzare un
google_certificate_manager_dns_authorization
risorsa.
Per scoprire come applicare o rimuovere una configurazione Terraform, consulta: Comandi Terraform di base.
Aggiungi il record CNAME alla configurazione DNS
Se utilizzi Google Cloud per gestire il tuo DNS, completa i passaggi in questa sezione. In caso contrario, consulta la documentazione del DNS di terze parti soluzione.
Prima di completare i passaggi di questa sezione, assicurati di aver creato un zona DNS pubblica.
Quando crei un'autorizzazione DNS, il comando gcloud CLI restituisce il record CNAME corrispondente. Devi aggiungere questo record CNAME al tuo DNS configurazione nella zona DNS del dominio di destinazione, come segue:
gcloud
- Avvia la transazione del record DNS:
gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"
Sostituisci DNS_ZONE_NAME
con il nome del DNS di destinazione
zona di destinazione.
- Aggiungi il record CNAME alla zona DNS di destinazione:
gcloud dns record-sets transaction add CNAME_RECORD \ --name="_acme-challenge.DOMAIN_NAME." \ --ttl="30" \ --type="CNAME" \ --zone="DNS_ZONE_NAME"
Sostituisci quanto segue:
CNAME_RECORD
: il valore completo dei dati del record CNAME restituito dal comando Google Cloud CLI che ha creato il DNS corrispondente autorizzazione.DOMAIN_NAME
: il nome del dominio di destinazione. La il nome di dominio deve essere un nome di dominio completo, comemyorg.example.com
. Devi anche includere il punto finale dopo il tag il nome di dominio di destinazione.DNS_ZONE_NAME
: il nome della zona DNS di destinazione.
Vedi l'esempio che segue:
gcloud dns record-sets transaction add 0e40fc77-a37d-4eb8-8fe1-eea2e18d12d9.4.authorize.certificatemanager.goog. \ --name="_acme-challenge.myorg.example.com." \ --ttl="30" \ --type="CNAME" \ --zone="myorg-example-com"
- Esegui la transazione del record DNS per salvare le modifiche:
gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"
Sostituisci DNS_ZONE_NAME
con il nome del DNS di destinazione
zona di destinazione.
Terraform
Per aggiungere il record CNAME alla tua configurazione DNS, puoi utilizzare un
google_dns_record_set
risorsa.
Crea un certificato gestito da Google che fa riferimento all'autorizzazione DNS
Per creare un certificato gestito da Google che faccia riferimento all'autorizzazione DNS creato nei passaggi precedenti:
Console
Nella console Google Cloud, vai alla pagina Gestore certificati.
Nella pagina visualizzata, seleziona la scheda Certificati.
Fai clic su Aggiungi certificato.
Inserisci un Nome per il certificato.
Questo nome deve essere univoco per il progetto.
(Facoltativo) Inserisci la descrizione del certificato. La descrizione consente di identificare un certificato specifico in un secondo momento.
In corrispondenza di località, scegli Globale.
Per Ambito, scegli una delle seguenti opzioni:
- Predefinito: scegli l'impostazione predefinita per un Bilanciatore del carico delle applicazioni esterno globale, un Bilanciatore del carico delle applicazioni classico o un Bilanciatore del carico di rete proxy esterno globale
- Tutte le regioni: scegli tutte le regioni per un bilanciatore del carico delle applicazioni interno tra regioni
In Tipo di certificato, scegli Crea certificato gestito da Google.
In Tipo di autorità di certificazione, scegli Pubblica.
Specifica i nomi di dominio del certificato. Inserisci un valore delimitato da virgole dei domini di destinazione. Inoltre, ogni nome di dominio deve essere un nome nome di dominio, ad esempio
myorg.example.com
.In Authorization type (Tipo di autorizzazione), scegli DNS Authorization (Autorizzazione DNS). Se dominio a cui è associata un'autorizzazione DNS, verrà selezionato automaticamente. Se al nome di dominio non è associata un'autorizzazione DNS:
- Fai clic su Crea autorizzazione DNS mancante per visualizzare la finestra di dialogo Crea DNS. Finestra di dialogo di autorizzazione.
- Nel campo Nome autorizzazione DNS, specifica il nome dell'autorizzazione DNS.
- Fai clic su Crea autorizzazione DNS. Verifica che il nome DNS sia associato al nome di dominio.
Specifica un'etichetta da associare al certificato. Puoi aggiungere più di un'etichetta, se necessario. Per aggiungere un'etichetta, fai clic sull'icona add_box Aggiungi etichetta e specifica
key
evalue
per l'etichetta.Fai clic su Crea. Verifica che il nuovo certificato sia presente nell'elenco dei certificati.
gcloud
Per un bilanciatore del carico delle applicazioni esterno globale, un bilanciatore del carico delle applicazioni classico o Bilanciatore del carico di rete proxy esterno globale:
Esegui questo comando:
gcloud certificate-manager certificates create CERTIFICATE_NAME
--domains=DOMAIN_NAME
--dns-authorizations=AUTHORIZATION_NAME
Sostituisci quanto segue:
CERTIFICATE_NAME
: un nome univoco del certificato.DOMAIN_NAME
: il dominio di destinazione del certificato. Il nome di dominio deve essere un nome di dominio completo, comemyorg.example.com
.AUTHORIZATION_NAME
: il nome del DNS dell'autorizzazione che hai creato per questo certificato.
Per creare un certificato gestito da Google con un nome di dominio con caratteri jolly, utilizza la . Un nome di dominio con caratteri jolly copre tutti i sottodomini di primo livello di un determinato dominio.
gcloud certificate-manager certificates create CERTIFICATE_NAME \ --domains="*.DOMAIN_NAME,DOMAIN_NAME" \ --dns-authorizations=AUTHORIZATION_NAME
Sostituisci quanto segue:
CERTIFICATE_NAME
: un nome univoco del certificato.DOMAIN_NAME
: il dominio di destinazione del certificato. La Il prefisso asterisco (*.
) indica un certificato con caratteri jolly. Il dominio deve essere un nome di dominio completo, comemyorg.example.com
.AUTHORIZATION_NAME
: il nome dell'autorizzazione DNS creato per il certificato.
Per un bilanciatore del carico delle applicazioni interno tra regioni:
Esegui questo comando:
gcloud certificate-manager certificates create CERTIFICATE_NAME
--domains=DOMAIN_NAME
--dns-authorizations=AUTHORIZATION_NAME
--scope=all-regions
Sostituisci quanto segue:
CERTIFICATE_NAME
: un nome univoco del certificato.DOMAIN_NAME
: il dominio di destinazione del certificato. Il nome di dominio deve essere un nome di dominio completo, comemyorg.example.com
.AUTHORIZATION_NAME
: il nome del DNS dell'autorizzazione che hai creato per questo certificato.
Per creare un certificato gestito da Google con un nome di dominio con caratteri jolly, utilizza la . Un nome di dominio con caratteri jolly copre tutti i sottodomini di primo livello di un determinato dominio.
gcloud certificate-manager certificates create CERTIFICATE_NAME \ --domains="*.DOMAIN_NAME,DOMAIN_NAME" \ --dns-authorizations=AUTHORIZATION_NAME \ --scope=all-regions
Sostituisci quanto segue:
CERTIFICATE_NAME
: un nome univoco del certificato.DOMAIN_NAME
: il dominio di destinazione del certificato. La Il prefisso asterisco (*.
) indica un certificato con caratteri jolly. La il nome di dominio deve essere un nome di dominio completo, comemyorg.example.com
.AUTHORIZATION_NAME
: il nome dell'autorizzazione DNS creato per il certificato.
Terraform
Utilizza una risorsa google_certificate_manager_certificate
.
Verifica che il certificato sia attivo
Utilizza il comando seguente per verificare che il certificato stesso sia attivo prima
il deployment nel tuo bilanciatore del carico. Potrebbero essere necessarie diverse ore prima che
per impostare lo stato del certificato in ACTIVE
.
gcloud certificate-manager certificates describe CERTIFICATE_NAME
Sostituisci CERTIFICATE_NAME
con il nome del target
Certificato gestito da Google.
Il comando restituisce un output simile al seguente:
expireTime: '2022-05-07T05:03:49Z' managed: authorizationAttemptInfo: - domain: myorg.example.com state: AUTHORIZED dnsAuthorizations: - projects/my-project/locations/global/dnsAuthorizations/myAuth domains: - myorg.example.com state: ACTIVE name: projects/myProject/locations/global/certificates/myCert pemCertificate: | -----BEGIN CERTIFICATE----- [...] -----END CERTIFICATE----- sanDnsnames: - myorg.example.com updateTime: '2021-10-20T12:19:55.083385630Z'
Esegui il deployment del certificato su un bilanciatore del carico
Questa sezione illustra i passaggi necessari per eseguire il deployment a un bilanciatore del carico.
Prima di procedere con le attività di questa sezione, assicurati di aver completato le attività elencate Crea un certificato gestito da Google con autorizzazione DNS .
A seconda del tipo di bilanciatore del carico, puoi eseguire il deployment dei certificati come segue:
- Per i seguenti bilanciatori del carico, esegui il deployment del certificato utilizzando una
mappa di certificati:
- .
- Bilanciatore del carico delle applicazioni esterno globale
- Bilanciatore del carico di rete proxy esterno globale
- Bilanciatore del carico delle applicazioni classico
- Per il bilanciatore del carico delle applicazioni interno tra regioni, esegui il deployment del certificato tramite allegandolo direttamente al proxy di destinazione.
Esegui il deployment del certificato utilizzando una mappa di certificati
Questa sezione descrive i passaggi per eseguire il deployment di un certificato utilizzando un certificato mappa.
Crea una mappa di certificati
Crea una mappa di certificati che fa riferimento alla voce della mappa dei certificati associato al tuo certificato:
gcloud
gcloud certificate-manager maps create CERTIFICATE_MAP_NAME
Sostituisci CERTIFICATE_MAP_NAME
con il nome del target
mappa di certificati.
Terraform
Per creare una mappa di certificati, puoi utilizzare una
google_certificate_manager_certificate_map
risorsa.
Crea una voce della mappa di certificati
Crea una voce della mappa di certificati e associarlo al tuo certificate come nonché la mappa di certificati:
gcloud
gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \ --map="CERTIFICATE_MAP_NAME" \ --certificates="CERTIFICATE_NAME" \ --hostname="HOSTNAME"
Sostituisci quanto segue:
CERTIFICATE_MAP_ENTRY_NAME
: un nome univoco del voce mappa di certificatiCERTIFICATE_MAP_NAME
: il nome del certificato mappato a allegata da questa voce di mappa di certificatiCERTIFICATE_NAME
: il nome del certificato che vuoi ottenere da associare a questa voce della mappa di certificatiHOSTNAME
: il nome host che vuoi associare con questa voce della mappa di certificati
Terraform
Per creare una voce della mappa di certificati, puoi utilizzare una
google_certificate_manager_certificate_map_entry
risorsa.
Verifica che la voce della mappa di certificati sia attiva
Utilizza il comando seguente per verificare che la voce della mappa di certificati sia attiva prima di collegare la mappa di certificati corrispondente al proxy di destinazione:
gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \ --map="CERTIFICATE_MAP_NAME"
Sostituisci quanto segue:
CERTIFICATE_MAP_ENTRY_NAME
: il nome del target voce mappa di certificatiCERTIFICATE_MAP_NAME
: il nome del certificato mappato a allegata da questa voce di mappa di certificati
Il comando restituisce un output simile al seguente:
certificates: createTime: '2021-09-06T10:01:56.229472109Z' hostname: example.com name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry state: ACTIVE updateTime: '2021-09-06T10:01:58.277031787Z'
Collega la mappa di certificati al proxy di destinazione
Collega la mappa di certificati configurata al proxy di destinazione:
gcloud
Nella console Google Cloud, vai alla pagina Proxy di destinazione.
Prendi nota del nome del proxy di destinazione.
Collega la mappa di certificati al proxy di destinazione:
gcloud compute target-https-proxies update PROXY_NAME \ --certificate-map="CERTIFICATE_MAP_NAME" \ --global
Sostituisci quanto segue:
PROXY_NAME
: il nome del proxy di destinazione.CERTIFICATE_MAP_NAME
: il nome del certificato con riferimento alla voce della mappa di certificati e agli elementi associati certificato.
Terraform
Per collegare la mappa di certificati al proxy di destinazione, puoi utilizzare un
google_compute_target_https_proxy
risorsa.
Se esistono certificati TLS (SSL) esistenti collegati direttamente proxy dà la precedenza ai certificati a cui fa riferimento mappa di certificati sui certificati TLS (SSL) direttamente collegati.
Collega il certificato direttamente al proxy di destinazione
Per collegare il certificato direttamente al proxy, esegui questo comando:
gcloud compute target-https-proxies update PROXY_NAME \ --url-map=URL_MAP \ --global \ --certificate-manager-certificates=CERTIFICATE_NAME
Sostituisci quanto segue:
PROXY_NAME
: un nome univoco del proxy.URL_MAP
: il nome della mappa URL. Hai creato la mappa URL quando hai creato il bilanciatore del carico.CERTIFICATE_NAME
: il nome del certificato.
Esegui la pulizia
Per annullare le modifiche apportate in questo tutorial, completa i seguenti passaggi passaggi:
Scollega la mappa di certificati dal proxy.
Prima di scollegare la mappa di certificati, tieni presente quanto segue:
- Se esistono certificati TLS (SSL) collegati direttamente al proxy, lo scollegamento della mappa di certificati fa sì che il proxy riprenda a utilizzare quelle certificati TLS (SSL) direttamente collegati.
- Se non esistono certificati TLS (SSL) collegati direttamente al proxy, la mappa di certificati non può essere scollegata dal proxy. Devi prima collegare almeno un certificato TLS (SSL) direttamente al proxy prima puoi scollegare la mappa di certificati.
Per scollegare la mappa di certificati, esegui questo comando:
gcloud compute target-https-proxies update PROXY_NAME \ --clear-certificate-map
Sostituisci
PROXY_NAME
con il nome del proxy di destinazione.Elimina la voce della mappa di certificati dalla mappa di certificati:
gcloud certificate-manager maps entries delete CERTIFICATE_MAP_ENTRY_NAME \ --map="CERTIFICATE_MAP_NAME"
Sostituisci quanto segue:
CERTIFICATE_MAP_ENTRY_NAME
: il nome del target della mappa di certificati.CERTIFICATE_MAP_NAME
: il nome del target mappa di certificati.
Elimina la mappa di certificati:
gcloud certificate-manager maps delete CERTIFICATE_MAP_NAME
Sostituisci
CERTIFICATE_MAP_NAME
con il nome del target mappa di certificati.Elimina il certificato gestito da Google:
gcloud certificate-manager certificates delete CERTIFICATE_NAME
Sostituisci
CERTIFICATE_NAME
con il nome del target certificato.Elimina l'autorizzazione DNS:
gcloud certificate-manager dns-authorizations delete AUTHORIZATION_NAME
Sostituisci
AUTHORIZATION_NAME
con il nome del target Autorizzazione DNS.